Efecte-D

Entrada patrocinada por mi ISP, que ha decidido dejarme sin Internet (ni televisión) desde Domingo noche hasta hace unas horas … gracias! (ironía)

Me he decidido a tratar un poco este tema a raíz de la polémica nueva protección anti piratería de Ubisoft. El caso es que han creado una protección que te obliga a estar conectado a Internet para jugar a un videojuego (con todos los problemas que eso conlleva), y que según ellos era una protección “incrackeable”. Lo mejor es que después de 24h de salir a la venta el primer juego con esa protección, ya se podía encontrar pirateado en la red xD. Leed el caso de Feel the Byte, que tiene tela.

No he podido evitar recordarme de esta peculiar muestra de aprecio xD

Afirmar que hay un sistema informático (tan a nivel hardware como software) que es imbatible en alguna cosa, realmente es una tontería que se ha demostrado en infinidad de casos como algo incorrecto. Ser el/lo mejor en los tiempos que corren, solamente puede ser cuestión de meses, días o hasta horas. Pero se sigue insistiendo en este aspecto para conseguir vender productos o servicios, parece que los de marketing no saben que esta técnica está un poco caducada…

Imaginemos a una empresa de software (del campo que sea) que decide crear su propio sistema de seguridad “revolucionario de la hostia” para proteger su nuevo producto. Contratan a 20 de los mejores programadores especializados en el tema. Están durante algunos meses trabajando en ello. Sacan el producto a la venta, con el nuevo sistema de seguridad integrado (gastándose en ello un pastizal). Todo tendría que ir bien… pero no dura 2 telediarios hasta que haya sido hacheado.

Otra empresa más lista decide optar por licenciar una protección de software que ha desarrollado una compañía externa. Una compañía con 1000 personas que se han dedicado a diseñar una nueva protección (ejemplo a lo burro). Se integra la protección en el producto, y en cuestión de días la vuelven a petar. ¿Qué ha pasado?

La cuestión es que por más esfuerzos y dinero que se dediquen a crear un sistema anti copia, cuando éste es “expuesto a Internet”, se lía una buena. Y más si lo que se intenta proteger es algo deseado por muchos. Ya puedes tener un equipo de 1000 programadores … nunca tendrán la misma capacidad que los cientos de miles de hackers que pueden estar interesados en petar la protección creada (cada uno con sus propias motivaciones, pero que pueden llegar a trabajar en equipo organizadamente para una misma meta).

Ejemplos de protecciones “definitivas” que se han petado sonadamente: licencia de Windows XP, anticopia de películas en DVDs, anticopia de BluRay, entre otros.

Estas últimas protecciones han sido sobrepasadas gracias al ingenio de los hackers. Pero hay veces que esto no es suficiente, así que se plantean otras opciones de ataque hacia un sistema determinado. En el caso de ataques hacia algoritmos de encriptación/cifrado, muchas veces se tienden a hacer por fuerza bruta. Por fuerza bruta, se entiende el hecho de probar todas y cada una de las combinaciones posibles, hasta dar con la correcta. Por ejemplo en una contraseña numérica de 6 dígitos, se empezaría probando si el número 000000 es el correcto. En caso que no, el 000001. Y así sucesivamente hasta el 999999. En el peor de los casos, se necesitarían 1 millón de intentos hasta dar con la combinación correcta. ¿Pero cuanto tiempo tarda un PC en hacer éstos cálculos? Más que posiblemente vuestro PC sería capaz de hacer estos cálculos de manera instantánea (mi típica contraseña la puede calcular un PIII@500Mhz al momento –comprobado vía simulacro-).

Supongamos que varios programadores y matemáticos se han unido y han creado un algoritmo de encriptación brutal. Un algoritmo que un superordenador actual necesitaría una cantidad obscena de cientos de miles de millones de años en calcular. Seguramente será un algoritmo pesado y lentísimo de aplicar, pero que valdrá la pena por su seguridad.

Si nadie consigue dar con una solución ingeniosa (encontrar algún fallo al algoritmo), pueden pasar algunos años hasta que sea considerado débil mediante ataque por fuerza bruta. ¿Por qué?

Según dijo el señor Moore, en la propia Ley de Moore que formuló:

En 1965 Gordon Moore afirmó que la tecnología tenía futuro, que el número de transistores por pulgada en circuitos integrados se duplicaba cada año y que la tendencia continuaría durante las siguientes dos décadas.

Más tarde, en 1975, modificó su propia ley al afirmar que el ritmo bajaría, y que la capacidad de integración se duplicaría aproximadamente cada 24 meses. Esta progresión de crecimiento exponencial, duplicar la capacidad de los circuitos integrados cada dos años, es lo que se considera la Ley de Moore. Sin embargo, el propio Moore ha puesto fecha de caducidad a su ley: “Mi ley dejará de cumplirse dentro de 10 o 15 años -desde 2007-”. Según aseguró durante la conferencia en la que hizo su predicción afirmó, no obstante, que una nueva tecnología vendrá a suplir a la actual.

Ley de Moore
(Cita y gráfica adaptadas de Wikipedia)

En otras palabras, un ataque por fuerza bruta que hoy no nos podemos plantear por tiempo y capacidad de proceso, dentro de unos años puede ser perfectamente viable. Es decir, que prácticamente cualquier algoritmo que ahora se considera seguro, tiene los días contados. La clásica encriptación WEP para redes WiFi, que se consideró standard en su tiempo, de hace unos años es posible petarla con una simple PDA.

Por otro lado también han existido ataques hackers mediante sistemas de computación distribuida (utilizar los procesadores de cientos o miles de usuarios para unirlos como un superordenador para hacer cálculos por fuerza bruta). Yo mismo participé en uno de estos, para conseguir crackear el sistema de seguridad de los grabadores HDD japoneses xD. Aunque actualmente estoy donando mi CPU para otros fines más morales

Volviendo un poco al principio, un sistema anticopia es expuesto a Internet, dónde miles de hackers van a intentar rebentarlo. ¿Qué pasaría si esta capacidad se invirtiera en pro de conseguir algo más seguro? Más o menos es lo que pasa con el software libre, dónde el código fuente es público. A diferencia de lo que se podría pensar normalmente (“si hago público el código de mi aplicación, será más fácil encontrar fallos por dónde me atacarán”), cuando alguien publica un código fuente, muchas veces se le notifica de los errores para que pueda solucionarlos.

De esta manera los sistemas basados en Linux acaban siendo muy robustos y seguros. A cada nueva versión, cientos de miles de programadores desinteresados se dedican a repasar el código fuente en busca de fallos y errores. Y una vez encontrados, éstos son solucionados, con el consiguiente parche a los pocos días/horas. Evidentemente no son sistemas infalibles, pero da mucha más confianza un código que lo pueden haber repasado 300.000 personas en Internet, que no el que ha hecho un equipo de 100 personas

En definitiva, la afirmación de que “esto no se puede crackear”, solamente es válida durante un tiempo limitado e indefinido. La gracia para conseguir un sistema seguro el máximo de tiempo posible, reside en seguir el lema del “renovarse o morir”. Así que ya sabéis, aunque mucho no se pueda hacer a nivel usuario … aunque solamente sea renovar el típico password de vez en cuando, siempre será algo beneficioso.

Espero que hayáis aprendido algo nuevo y que podáis dormir hoy tranquilos xD

PD: El certificado digital de usuario de la FNMT que podemos usar por Internet, solamente tiene validez por 3 años … parece que alguien del gobierno ha tenido un poco de vista al diseñarlo
PD2: Ésta semana tocará escribir alguna entrada extra, ya que al estar sin conexión Domingo, la semana pasada se quedó sin ninguna entrada. ¡Disculpas!

Popularity: 1%